Initia 因 MoveVM 脚本缓存漏洞损失约 270 万美元
TREE NEWS 报道， 专注于模块化 Rollup 的 Layer 1 区块链网络 Initia 披露了一起安全事件，导致约 270 万美元的数字资产被盗。攻击发生于北京时间 10 月 23 日 22:59，攻击者利用 Initia MoveVM 脚本缓存机制中的漏洞绕过安全检查，通过伪造虚拟机状态，在未改变代币总供应量的情况下，为自身账户生成了缺乏实际资产支持的 WETH、iUSD 和 USDC。
根据 Initia 官方声明，此次攻击未增发原生 INIT 代币，INIT 总供应量不受影响。在网络暂停前，攻击者通过 LayerZero、Noble 及 CCTP 等跨链渠道转出约 270 万美元资产，包括 105 枚 WETH、约 140 万枚 AUSD0 和 108 万枚 USDC。相关资产随后被兑换为 1,135.52 枚 ETH，目前存放于以太坊主网地址 0x358ef0130f7a5aa516dcd81bdc80b18cde41cac8。
技术细节与应急响应
该漏洞凸显了 MoveVM 脚本缓存与状态验证交互中的关键弱点。通过伪造虚拟机状态，攻击者能够诱使系统接受无效的代币余额。Initia 已暂停其 L1 及 Rollups 网络，正在修复漏洞，预计未来数日内完成修复及安全审计。团队同时与安全合作伙伴推进资产追回工作。
此次事件强调了跨链基础设施中持续存在的风险，以及确保模块化区块链架构中状态完整性的复杂性。攻击者利用多个跨链协议（LayerZero、Noble、CCTP）转移资金，展示了资产如何在不同生态系统间快速流动，增加了追回难度。
行业影响与展望
Initia 漏洞提醒人们，即使是像 MoveVM 这样稳健的虚拟机，也可能在缓存和状态管理中存在细微漏洞。随着模块化和互联区块链网络的激增，攻击面不断扩大，尤其是在跨链通信与智能合约执行的交汇处。
对 Initia 而言，未来几天至关重要：团队不仅需要修补漏洞，还需恢复用户和投资者的信心。资产追回过程依赖于与安全公司及可能执法部门的合作，可能耗时较长。该事件也引发了对新型 VM 实现安全审计充分性的质疑，以及对异常铸币事件进行实时监控的必要性。
投资者和用户应关注 Initia 官方渠道，以获取网络重启时间表及补救计划的详细信息。更广泛的 DeFi 和跨链生态系统可能会加强对脚本缓存机制和状态验证流程的审查，从而为基于 Move 的链带来更严格的审计标准。
